Una extensión de navegador capaz de ejecutar scripts en claude.ai podría lograr que Claude Desktop ejecute código en el ordenador de un usuario, según ha demostrado en una prueba el equipo de Forever Security, una empresa de seguridad de endpoints. El ataque requiere Dispatch, una función de Claude que permite enviar tareas desde el teléfono a Claude Desktop. Los investigadores señalaron a principios de esta semana que la vulnerabilidad que lo hace posible sigue siendo explotable.
Claude Desktop es un agente de IA que puede ejecutar comandos en el ordenador donde está instalado. Los investigadores descubrieron que Dispatch también aceptaba una sesión normal autenticada en claude.ai, el sitio web de Claude, aunque la página no mostrara ningún enlace a esta función. Esto permitía que una extensión que se ejecutara en el sitio enviara instrucciones a Claude Desktop como si el usuario las hubiera enviado.
Los investigadores afirman que Anthropic, la empresa creadora de Claude, les comunicó el 13 de octubre que Dispatch sería retirado, con finales de octubre como fecha objetivo. La página de ayuda de Dispatch, actualizada por última vez a finales de la semana pasada, no menciona dicha retirada. En ella se indica que Dispatch está cerrado a nuevos usuarios y que quienes ya lo utilizan en algunos planes Pro, Max y Ultra "pueden seguir usándolo por ahora".
Cómo funcionaba el ataque
Según un informe técnico del investigador de Forever Security Gal Weizman, el ataque requiere dos elementos: una extensión que pueda ejecutar scripts en claude.ai y una persona que haya iniciado sesión tanto en claude.ai como en Claude Desktop con Dispatch activado. La extensión podría ser maliciosa, una extensión legítima que recibió una actualización comprometida o una extensión legítima con una vulnerabilidad de seguridad. Dispatch solo funciona mientras el ordenador está despierto y la aplicación de escritorio está abierta.
En la prueba, un script en la página de claude.ai del usuario abrió Dispatch y envió a Claude cuatro mensajes como si fuera el usuario. Los mensajes pedían a Claude que instalara un paquete npm. Claude dudó inicialmente ante el paquete desconocido, pero un mensaje de seguimiento, enviado con la voz del usuario, logró que continuara.
Claude solicita aprobación antes de actuar, pero esas solicitudes aparecían en la página web controlada por la extensión. El script hacía clic en cualquier botón "Permitir" cada segundo, por lo que no era necesaria la supervisión de nadie. Claude ejecutó entonces una instalación global de npm, y el script de instalación del paquete abrió la aplicación Calculadora. No se necesitó ningún exploit del navegador. Los investigadores señalan que el mismo paso podría haber robado archivos o instalado una puerta trasera, dadas las permisologías de Claude en el ordenador.
La prueba se realizó con el navegador y Claude Desktop en el mismo ordenador, y los investigadores no reportan ataques reales. Sin embargo, dado que Dispatch conecta dispositivos, la extensión también podría alcanzar Claude Desktop en otro ordenador con la misma cuenta de Claude iniciada, según indican. Ese caso se describe pero no se demuestra. El mismo alcance podría vincular un ordenador doméstico con un portátil de trabajo cuando alguien usa una única cuenta personal de Claude en ambos dispositivos con Dispatch activado. Los investigadores han observado cuentas personales de Claude con Dispatch entre dispositivos activado en ordenadores de trabajo de sus clientes.
Los investigadores informaron de la vulnerabilidad a Anthropic el 14 de mayo. La empresa la aceptó como válida el 19 de mayo, pero cerró el informe como duplicado de un problema que ya había encontrado internamente, según los investigadores.
"Anthropic está retirando Dispatch, pero no el diseño que hay detrás", escribieron los investigadores, y añadieron que otras dos funciones de Claude, Claude Code Remote Control y las sesiones de Claude Cowork, permiten a las extensiones llevar a cabo el mismo ataque. Su informe no incluye una prueba de esas funciones, y planean publicar una continuación.
Qué pueden hacer los usuarios de Dispatch
En Claude Desktop, Dispatch forma parte de Cowork y aparece en el panel izquierdo. La página de ayuda de Dispatch indica que los usuarios deben saber cómo desconectar o revocar el acceso rápidamente antes de activar la función, pero no explica cómo hacerlo.
Los investigadores recomiendan los siguientes pasos:
- Desactivar Dispatch entre dispositivos si no es necesario. Si se necesita, revisar cómo se emparejan, aprueban y eliminan los dispositivos.
- Tratar las extensiones de navegador como cualquier otro software del ordenador: comprobar sus permisos, controlar qué se instala y revisar las actualizaciones que les otorguen más acceso.
- Supervisar lo que hacen los agentes de IA en el ordenador, incluidas las instalaciones inesperadas de paquetes, los cambios de configuración, el acceso a credenciales y las conexiones externas.
Deja una respuesta